CC - T-067 25 de 2025

TEMAS-SUBTEMAS

Sentencia T-067/25

DERECHO DE ACCESO A LA INFORMACIÓN PÚBLICA-Transparencia mediante suministro de código fuente de aplicación informática

(...) al no encontrarse acreditada la carga probatoria (artículo 28 de la Ley 1712 de 2014) respecto de la configuración del daño que justificaría las excepciones al acceso a la información pública solicitada por el actor, las autoridades accionadas violaron el derecho de acceso a la información pública. Adicionalmente, se afectó el ejercicio de otros derechos. En el caso específico, la falta de transparencia y acceso al código fuente de la aplicación CoronApp privó tanto al ciudadano accionante como a la sociedad en general de la posibilidad de ejercer un control adecuado y oportuno sobre esa herramienta. Esta deficiencia no solo disminuyó la extensión, obligatoriedad y funcionalidad del derecho fundamental al acceso a la información pública, sino que también impidió que los ciudadanos pudieran verificar la precisión, seguridad y uso correcto de sus datos personales, limitando así su capacidad para proteger sus derechos a la privacidad, a la protección de datos y a la participación informada en los procesos de toma de decisiones públicas.

DERECHO DE ACCESO

A LA INFORMACIÓN PÚBLICA-Contenido y alcance

DERECHO DE ACCESO

A LA INFORMACIÓN PÚBLICA-Instrumentos internacionales

DERECHO DE ACCESO

A LA INFORMACIÓN PÚBLICA-Jurisprudencia constitucional

DERECHO DE ACCESO

A LA INFORMACIÓN PÚBLICA-Reglas jurisprudenciales

DERECHO DE ACCESO

A LA INFORMACIÓN PÚBLICA-Regulación normativa

DERECHO DE ACCESO

A LA INFORMACIÓN PÚBLICA-Reglas jurisprudenciales

DERECHO DE ACCESO

A LA INFORMACIÓN PÚBLICA-Regulación normativa

DERECHO DE ACCESO A LA INFORMACIÓN-Test de daño al interés público/RESTRICCION DE ACCESO A LA INFORMACION-Motivación

El artículo 28 desarrolla lo que se conoce como el test del daño, que busca equilibrar el derecho de acceso a la información pública y la protección de ciertos intereses que se pueden ver afectados por la publicación de determinada información. Para ello, la norma establece que el sujeto obligado que niegue el acceso a determinada información pública alegando un daño a un interés particular o público debe demostrar que: a) la información está relacionada con un objetivo constitucional y legalmente legítimo; b) se trata de una de las excepciones expresamente establecidas en los artículos 18 y 19 de la Ley 1712 de 2014; c) la información causaría un daño presente, probable y específico sobre un bien o interés constitucional; d) dicho daño excede el interés público que representa el acceso a la información.

DERECHO AL HABEAS DATA-Alcance y contenido

DATOS PERSONALES-Características

DATOS SENSIBLES-Contenido

TRATAMIENTO DE DATOS PERSONALES-Contenido y alcance

DERECHO A LA INTIMIDAD-Alcance y contenido

SISTEMAS DE TOMA DE DECISIONES AUTOMATIZADAS (SDA)-Concepto y aspectos básicos acerca de su funcionamiento

DERECHO A LA INTIMIDAD-Alcance y contenido

SISTEMAS DE TOMA DE DECISIONES AUTOMATIZADAS (SDA)-Concepto y aspectos básicos acerca de su funcionamiento

DERECHO A LA INTIMIDAD EN SISTEMAS DE INTELIGENCIA ARTIFICIAL (IA)-Alcance de la privacidad en el manejo de información

TRANSPARENCIA ALGORÍTMICA-Garantía fundamental

(...) la transparencia en el uso de esta herramienta es una garantía fundamental para asegurar un empleo adecuado y razonable de los datos personales y evitar que el uso de sistemas algorítmicos para la toma de decisiones por parte de entidades públicas derive en decisiones arbitrarias o discriminatorias.

TRANSPARENCIA

ALGORÍTMICA-Finalidad

Lo que se busca con la transparencia algorítmica es... que el público en general pueda comprender cómo los sistemas de toma de decisiones automatizadas (SDA) procesan los datos que capturan y cómo toman decisiones que afectan la vida de las personas. Se trata de un principio con un fin constitucional: democratizar el funcionamiento interno de un sistema de toma de decisión automatizado, para que sea entendible por quienes se ven afectados por su puesta en marcha y operación.

TRANSPARENCIA ALGORÍTMICA-Importancia

La transparencia algorítmica es particularmente relevante en el uso de SDA por parte de entidades públicas. Lo anterior, debido a que las decisiones que toma el Estado a través de estos sistemas tienen efectos importantes en materia de derechos.

DERECHO DE ACCESO A LA INFORMACIÓN PÚBLICA-Protección constitucional en el contexto de la pandemia COVID-19

DERECHO AL HABEAS DATA-Protección de su núcleo esencial en el contexto de la pandemia COVID-19

TRANSPARENCIA

ALGORÍTMICA-Concepto

Se trata de una garantía fundamental en una sociedad democrática, pues si un sistema de toma de decisiones automatizadas (SDA) opera y toma decisiones de manera opaca, es imposible que la sociedad evalúe su capacidad de actuar con justicia y equidad, o su impacto en la autonomía y la dignidad de las personas. Como su propia definición lo revela, la transparencia algorítmica es un concepto que se deriva de un elemento que hace parte sustancial e inescindible de la naturaleza del derecho fundamental al acceso a la información pública: la disponibilidad de información.

SISTEMAS DE TOMA DE DECISIONES AUTOMATIZADAS (SDA)-Riesgos de la transparencia del código fuente

(...) aunque la publicación del código fuente es uno de los mecanismos a través de los cuales se puede garantizar la transparencia algorítmica, es claro que presenta complejidades. Habrá situaciones en que una explicación significativa sobre el funcionamiento del sistema sea más apropiada que la publicidad total del código fuente, ya que esta puede crear riesgos desproporcionados para la seguridad nacional, o desconocer secretos empresariales. No obstante, es fundamental tener en cuenta que cuando se trata de SDA a cargo de entidades públicas, la transparencia algorítmica activa y pasiva debe guiarse bajo un principio de divulgación máxima. Según este principio, es fundamental que la información revelada al público para vigilar la acción digital del Estado permita examinar el desempeño de la aplicación informática o herramienta tecnológica utilizada. Por ello, en cada caso, habrá que analizar cuál es la medida que maximiza el acceso a la información, sin afectar de manera desproporcionada otros derechos e intereses.

JUEZ CONSTITUCIONAL-Deber de garantizar el respeto a los derechos fundamentales

REPÚBLICA DE COLOMBIA

[image]

CORTE CONSTITUCIONAL

Sala Novena de Revisión

SENTENCIA T-067 DE 2025

Ref.: Expediente No. T-8.202.533

Acción de tutela formulada por el ciudadanoJuan Carlos Upegui Mejía contra de laAgencia Nacional Digital -AND, el Instituto Nacional de Salud -INS-[[1]](#_ftn1) y el Ministerio de Salud y Protección Social[[2]](#_ftn2).

Magistrada Ponente:

Natalia Ángel Cabo

Magistrada Ponente:

Natalia Ángel Cabo

Bogotá, D.C., 26 de febrero de 2025.

La Sala Novena de Revisión de la Corte Constitucional, integrada por la magistrada Natalia Ángel Cabo, quien la preside, la magistrada Diana Fajardo Rivera y el magistrado Jorge Enrique Ibáñez Najar[[3]](#_ftn3), en ejercicio de sus competencias constitucionales, legales y reglamentarias, profiere la siguiente:

SENTENCIA.

Esta decisión se emite en el proceso de revisión de los fallos de tutela dictados, en primera instancia, por el Juzgado 64 Administrativo de Oralidad del Distrito Judicial de Bogotá, el 18 de enero de 2021 y, en segunda instancia, por el Tribunal Administrativo de Cundinamarca, Sección Segunda, Subsección “A”, el 25 de febrero de 2021, dentro de la acción de tutela promovida por el ciudadano Juan Carlos Upegui Mejía en contra de la Agencia Nacional Digital.

Síntesis de la decisión

La Sala Novena de Revisión estudió la acción de tutela instaurada por el ciudadano Juan Carlos Upegui Mejía en contra de la Agencia Nacional Digital, el Instituto Nacional de Salud y el Ministerio de Salud y Protección Social por la vulneración de su derecho fundamental al acceso a la información pública. Esto debido a que las entidades accionadas negaron su solicitud de publicar el código fuente de la aplicación CoronApp.

Las autoridades accionadas afirmaron que la información que solicitó el actor estaba amparada bajo reserva de confidencialidad, debido a que: (i) comprometía la intimidad de los datos personales que recopila la aplicación por la exposición a posibles riesgos frente a terceros malintencionados que podrían acceder a la información (artículo 18, Ley 1712 de 2014, excepción por daño a intereses de particulares); y (ii) esta era necesaria para salvaguardar la seguridad de las medidas de salud pública que se adoptaron para atender la pandemia por el Covid19 (artículo 19, Ley 1712 de 2014, excepción por daño a intereses de particulares). Adicionalmente, (iii) las autoridades accionadasalegaron que se podrían ver comprometidos sus derechos de autor, al ser quienes desarrollaron la aplicación.

Al conocer la acción de tutela, los jueces de primera y segunda instancia negaron el amparo solicitado por el actor. En esencia, adujeron que si se accediera a la petición del demandante, se pondría en riesgo información sensible de los ciudadanos que tienen registrados sus datos personales en la aplicación. Además, consideraron que se trataba de aspectos meramente técnicos y especializados, razón por la que era preciso actuar con la mayor cautela posible.

Al examinar las decisiones, tanto de las autoridades accionadas como de los jueces de tutela que conocieron del proceso, la Corte concluyó que se había vulnerado el derecho fundamental al acceso a la información pública del actor.

Por un lado, la Sala constató que las autoridades administrativas accionadas no cumplieron con la carga de identificar el fundamento legal de la reserva de la información invocada. Tampoco cumplieron con la carga argumentativa y probatoria que acredite que revelar información genera un daño presente, real, probable y específico que excede el beneficio que representa publicar la información (artículo 28, Ley 1712 de 2014).

En este punto del examen, la Sala evidenció que la justificación presentada por las entidades demandadas no era suficiente para negar la publicación del código fuente de la aplicación CoronApp. En concreto, la Corte constató que era posible tomar medidas de seguridad sobre las bases de datos en las que reposaba la información de los usuarios (p. e. separar la información, generar credenciales de acceso, contraseñas de seguridad, medios de autenticación, etc.), de tal forma que la publicación del código no comprometiera la información y los datos de las personas. Además, la Sala reiteró que, en todo caso, las entidades accionadas debían actuar con debida diligencia y cumplir con las obligaciones de custodia de la información.

Por otro lado, la Corte recordó que los jueces constitucionales son garantes del derecho fundamental al acceso a la información pública en virtud de los mandatos constitucionales y estatutarios en la materia (artículo 27, Ley 1712 de 2014). Específicamente, señaló que los jueces tienen la obligación de pronunciarse sobre los requisitos que debe cumplir una decisión que invoca la reserva sobre información pública para establecer si se acreditan las exigencias previstas por la jurisprudencia constitucional y las normas estatutarias (test de admisibilidad de la reserva).

Así, la Sala llamó la atención de los jueces de instancia porque aceptaron, sin la debida ponderación, que frente a aspectos técnicos o especializados y en circunstancias de duda o vacío legal, proceda la negación del derecho al acceso a la información, en contravía del principio de maximización de la publicidad y de la buena fe.

Finalmente, en esta providencia la Sala adoptó algunas medidas dirigidas a que se materialice el principio de transparencia algorítmica como parte del derecho de acceso a la información pública. Estas medidas están encaminadas a que el Estado desarrolle estrategias para incrementar la disponibilidad de la información sobre los sistemas de algoritmo en los que se sustentan las herramientas tecnológicas para la actuación estatal, como aplicaciones o sistemas de decisión automatizada. Lo anterior, en aras de que la sociedad pueda tener suficientes elementos para valorar su uso y rendimiento.

I. ANTECEDENTES

1. Hechos

1. El 6 de agosto de 2020, el ciudadano Juan Carlos Upegui Mejía presentó una petición ante la Agencia Nacional Digital (AND), con el fin de obtener una información que considera de carácter público respecto a la aplicación electrónica CoronaApp.[[4]](#_ftn4) Dentro de la información requerida, el actor solicitó lo siguiente:

(i) Copia del código fuente de la aplicación CoronApp en su versión actual, con el registro de cambios en el sistema de control de versiones -VCSque utilicen (GIT, SVN o análogos);

(ii) Subsidiariamente, en caso de que no se utilice sistema de control de versiones, copia del código fuente de la aplicación en su primera versión con el nombre de CoronApp y de todas las versiones posteriores hasta la actual (…).[[5]](#_ftn5)

2. El 14 de octubre de 2020, la AND negó la solicitud de información. La entidad señaló que el acceso a la copia del código fuente de la aplicación CoronApp, así como a sus modificaciones y actualizaciones, podría comprometer la privacidad de la información personal de los usuarios de la aplicación. Por tanto, consideró que se trataba de información con carácter reservado. Adicionalmente, indicó que la aplicación CoronApp era un programa en desarrollo y constantemente recibía actualizaciones y modificaciones. Según la AND, por esta razón, la aplicación no podía ser considerada como un producto terminado y, por ende, la información solicitada no podía ser publicada.

3. El 19 de octubre de 2020, el actor presentó un recurso de reposición en contra de la decisión de la AND que negó el acceso a la información solicitada[[6]](#_ftn6). El actor sostuvo que se debían seguir los lineamientos de la Ley 1712 de 2014[[7]](#_ftn7), en particular los principios de máxima publicidad y transparencia respecto al derecho al acceso a la información pública. También señaló que la AND no indicó las disposiciones constitucionales y legales que sustentan la supuesta reserva y tampoco cumplió con la carga argumentativa para justificar por qué la información solicitada es de acceso restringido. Por último, el demandante indicó que en su petición no solicitó los datos personales de los usuarios y que, incluso si así hubiera sido, la entidad podría haber brindado una información parcial excluyéndolos.

4. El 6 de noviembre de 2020, la AND confirmó la decisión de negar el acceso a información solicitada. La agencia reiteró que si accediera a la petición se pondrían en riesgo la información sensible de los usuarios de la aplicación. Asimismo, justificó la negativa de compartir el código fuente de la aplicación CoronApp, en la necesidad de proteger los derechos de autor sobre el software, de los cuales es titular el Instituto Nacional de Salud.

5. Por estos hechos, el 11 de diciembre de 2020, el señor Upegui Mejía presentó una acción de tutela para obtener la protección de su derecho fundamental al acceso a la información pública. En su solicitud de amparo, el actor insistió en que la negativa de la AND de entregar la información solicitada no cumplió con la carga argumentativa que se exige para justificar dicha decisión. Para explicar la forma en que la entidad accionada vulneró sus derechos, planteó en su escrito de tutela los argumentos que se describen a continuación.

6. Primero, hizo algunas precisiones sobre la aplicación CoronApp y la definición técnica del código fuente. Así, comenzó por explicar que dicha aplicación fue desarrollada por el Gobierno Nacional como un instrumento de política epidemiológica para el control de la pandemia Covid19. Con ese fin, mediante la aplicación se registraron datos sensibles de millones de colombianos. Por ello, dice el demandante, además de ser funcional y segura en términos operativos, es necesario que el registro y archivo de esos datos esté acorde con la normatividad y la garantía de la protección de datos personales.

7. Segundo, el demandante explicó que por “código fuente” se entiende “el conjunto de instrucciones que se escriben en un lenguaje de programación para que los dispositivos o computadores puedan ejecutar un programa o presentar al usuario una página web”[[8]](#_ftn8).De manera que el código de fuente no incluye información personal de los usuarios y, por ende, no puede constituir información de carácter reservado.

8. Tercero, el actor presentó varias razones por las cuales considera que tanto la aplicación CoronApp como su código fuente deben considerarse información pública. Para empezar, señaló que dicho código es público cuando se trata de una herramienta que materializa una política pública. En ese sentido, el actor sostuvo que la información solicitada se enmarca dentro de la información mínima obligatoria que deben publicar las entidades del Estado, según el literal a) del artículo 11 de la Ley 1712 de 2014. Dicha norma señala que los sujetos obligados deben publicar de manera proactiva, entre otras cosas, los “detalles pertinentes sobre todo servicio que brinde directamente al público, incluyendo normas, formularios y protocolos de atención”[[9]](#_ftn9).

9. Cuarto, el accionante indicó que el código fuente puede ser entendido como análogo a un protocolo de atención de la administración pública, esto es, un conjunto de pasos para ejecutar una función. La diferencia radica en que el código fuente está escrito en lenguaje de programación, razón por la que es un protocolo digital unívoco que no está sometido a interpretación, pues es leído por las máquinas en un solo sentido. Incluso, el accionante advirtió que la propia AND reconoció el carácter de información pública del código fuente al señalar que sería revelado cuando no se realicen más modificaciones. De manera que, la entidad, en su opinión, simplemente opone la existencia de un término de reserva que es inexistente.

10. Sobre este punto, el actor alegó que negar la publicación inmediata del código fuente es inadmisible por dos motivos. Por un lado, porque la aplicación ya estaba en funcionamiento desde hacía varios meses, razón por la que no se trata de información en preparación, sino en uso (activa y desplegada). Por el otro, porque la idea de una “versión final” que opone la AND constituye un plazo indeterminado y arbitrario, y no una excepción clara, delimitada y precisa sustentada en una norma con fuerza de ley, como lo exigen los lineamientos normativos del derecho de acceso a la información pública.

11. Quinto, el actor señaló que el acceso al código fuente cumple los objetivos que persigue el principio de transparencia de la información. Esto, debido a que ese acceso permitiría que la ciudadanía tenga mayor control y conocimiento sobre la forma en que se toman las decisiones, se administran los datos personales y las medidas de seguridad que tiene la aplicación para garantizar el respeto por la intimidad en el manejo de esos datos, de acuerdo con lo previsto en los principios generales de la Ley estatutaria de habeas data (Ley 1581 de 2012).

12. Finalmente, el demandante precisó que el derecho fundamental al acceso a la información pública ha sido reconocido por la jurisprudencia de la Corte Constitucional, en las sentencias C-491 de 2007 y C-274 de 2013, y por la legislación en la materia, particularmente por la Ley 1712 de 2014. Sobre esta última norma, el actor hizo referencia a los artículos 4 (concepto del derecho), 24 (titular del derecho), 2 (principios de máxima publicidad), 3 (principio de transparencia), 28 (carga de la prueba para las autoridades públicas cuando alegan la existencia de las reservas previstas en los artículos 18 y 19), y 21 (posibilidad de divulgación parcial de la información).

13. Por todo lo anterior, el actor solicitó al juez constitucional ordenar a la AND que le suministre la información requerida, en específico, el código fuente de la aplicación CoronApp, así como el registro de versiones o cambios que ha tenido desde su creación. Para el demandante, la entidad no podía oponer el carácter reservado de la información sin cumplir la carga argumentativa y probatoria para negar el acceso a una información pública.

2. Trámite procesal de la acción de tutela en sede de instancias y contestación de las entidades accionadas

14. Mediante el auto del 14 de diciembre de 2020[[10]](#_ftn10), el Juzgado 64 Administrativo de Oralidad del Distrito Judicial de Bogotá admitió la demanda y ordenó notificar al director de AND para que ejerciera su derecho de defensa. Adicionalmente, a través del auto del 12 de enero de 2021, dicho juzgado vinculó al trámite al Instituto Nacional de Salud (INS).

2.1. Agencia Nacional Digital –AND–

15. El 16 de diciembre de 2020[[11]](#_ftn11), la AND manifestó que le informó al accionante que la aplicación CoronApp cuenta con una versión iOS y una versión Android. Respecto de la versión iOS, la entidad señaló que la desarrolló integralmente sin implementar la licencia GNU-GPL 3.0[[12]](#_ftn12), en virtud del memorando de entendimiento suscrito con el Instituto Nacional de Salud (INS). Indicó, además, que los derechos de autor sobre el software están en cabeza de esta última entidad y, por ello, optó por no publicar el código fuente.

16. En relación con la versión Android, advirtió que esta es producto de una modificación al software original que se realizó bajo la licencia internacional GNU y el código fuente fue entregado por el INS a la AND. La entidad agregó que, para el momento de la contestación, del código original quedaba menos del 6%, debido a las modificaciones y ajustes que se adelantaron durante la pandemia para responder a las necesidades que se presentaron.

17. Por otro lado, la agencia resaltó que el código en cuestión se mantenía en constante actualización para cumplir con las necesidades cambiantes y proteger la información recolectada de los usuarios. Además, la AND destacó que, en consideración a la sensibilidad de los datos personales que maneja la aplicación, tomó las medidas que consideró necesarias para garantizar el cumplimiento de los principios señalados en las leyes 1712 de 2014 (artículo 24, numeral 3) y 1581 de 2012[[13]](#_ftn13), sobre tratamiento de datos personales.

18. En ese sentido, la entidad indicó que las modificaciones que se hacen a la aplicación implican que, a la fecha, no exista una versión completamente segura que mitigue todas las amenazas a la información personal de los usuarios. Por este motivo, la AND insistió en que la publicación del código fuente “permitiría la explotación de las vulnerabilidades que aún existen” y habilitaría a personas sin autorización para acceder a la información personal registrada por los ciudadanos o entorpecer la prestación del servicio para el que fue diseñada la aplicación.

19. Por ello, la AND afirmó que, independientemente de que se hayan respetado todos los protocolos de protección de datos personales, actualmente la versión del código fuente tiene vulnerabilidades que ponen en peligro la información personal recolectada y se incrementa el riesgo de que esa información se use de forma maliciosa. Por lo anterior, la entidad accionada consideró impertinente la solicitud de publicación del código fuente y manifestó que evaluaría la posibilidad de publicarlo únicamente cuando se encuentre terminado y no implique un riesgo para los usuarios. Adicionalmente, la agencia explicó que trabajaba en mejoras a la seguridad de la aplicación con el objetivo de materializar su deber de custodia y protección de los datos personales de los usuarios registrados.

20. En su escrito, la AND también precisó que si bien los desarrollos de la aplicación corresponden a bienes de naturaleza pública esto no equivale a decir que ostentan el carácter de bienes de uso público. En consecuencia, según lo dicho por la AND, es deber de la entidad proteger los derechos de propiedad intelectual y de autor que surgen de su desarrollo, así como la privacidad y seguridad de los datos registrados por los usuarios de la aplicación. La agencia destacó que era imprudente e inoportuno publicar el código fuente de la aplicación, dado que a la fecha de la contestación se tenían 13’497.917 descargas y se contaba con 3’812.995 usuarios activos. De manera que constituiría un riesgo la posibilidad de una clonación (fishing) de la aplicación, que permitiera modificar funcionalidades para obtener los datos personales de los ciudadanos de forma inescrupulosa.

21. En suma, la AND consideró que, en atención al tipo de información recolectada a través de CoronApp, era necesario mantener el código fuente temporalmente en reserva, pues la aplicación administra información sensible y su publicación constituye un grave riesgo. Por lo tanto, decidió que negar su publicación, al ser una decisión que está debidamente sustentada y que no vulnera el derecho de acceso a la información pública del accionante.

2.2. Instituto Nacional de Salud –INS–

22. El 13 de enero de 2021[[14]](#_ftn14), el INS contestó la solicitud de amparo constitucional. Señaló que, por su función misional, adelantaba el tratamiento de datos sensibles de los ciudadanos con estricto apego a los principios y reglas establecidos en la Ley 1581 de 2012 sobre tratamiento de datos personales.

23. El INS indicó que, a través de la Resolución 1607 de 2014, adoptó el reglamento de propiedad intelectual y la política para la protección de datos personales establecida en la ley antes mencionada. Adicionalmente, señaló que en la Resolución 457 de 2020 estableció los lineamientos y objetivos de la política de protección de datos personales de la entidad.

24. En cuanto a la solicitud de entrega del código fuente de la aplicación CoronApp, el INS manifestó que, tal como lo señaló la AND, la publicación de esta información puede suponer graves riesgos. En particular, puede hacerla susceptible a ataques, razón por la que consideró prudente que dicha publicación se efectuara únicamente en el momento en el que la aplicación se encontrara terminada. En relación con las amenazas, la entidad destacó el riesgo ante potenciales hackers quienes podrían realizar ingeniería inversa de la aplicación para descifrar el algoritmo, abusar del sistema y acceder a la información personal de los ciudadanos.

25. En línea con lo anterior, el INS precisó que cuando un código es de interés nacional, como en el caso de CoronApp, se deben tomar todas las medidas suficientes para evitar la afectación de la seguridad nacional y la vulneración de la confidencialidad de la información gubernamental. Por ello, el instituto explicó que CoronApp es la única aplicación del gobierno nacional que permite a los ciudadanos acceder a la información actualizada y veraz sobre la emergencia sanitaria por la pandemia de la Covid 19, de manera que esta información se puede ver comprometida al publicar su código fuente y, si esto sucede, afectar directamente la salud y la seguridad nacional.

26. Así las cosas, el INS concluyó que, de acuerdo con lo expuesto, era prudente y oportuno mantener el código temporalmente en reserva y reiteró que, una vez se lograra la versión definitiva, el código sería publicado.

26. Así las cosas, el INS concluyó que, de acuerdo con lo expuesto, era prudente y oportuno mantener el código temporalmente en reserva y reiteró que, una vez se lograra la versión definitiva, el código sería publicado.

3. Sentencia de tutela de primera instancia

27. Mediante el fallo del 18 de enero de 2021[[15]](#_ftn15), el Juzgado 64 Administrativo de Oralidad del Distrito Judicial de Bogotá negó el amparo solicitado. El juzgado consideró que las respuestas de las entidades demandadas cumplían las exigencias legales en relación con un posible daño a los derechos de las personas, según lo dispuesto en el artículo 18 a) de la Ley 1712 de 2014.

28. Además, el juez de primera instancia señaló que, dada la sensibilidad de la información que se gestionaba a través de la aplicación CoronApp, la publicación del código de fuente podía generar un eventual daño al derecho a la intimidad de los ciudadanos. Por lo anterior, la decisión de no publicar el código fuente obedecía a un criterio de responsabilidad y cautela en la gestión pública.

29. En su sentencia, el juez administrativo indicó que la aplicación debía ser entendida como una herramienta de política pública con la que el Estado gestiona y toma decisiones de cara a la mitigación de la pandemia Covid

19. De igual modo, señaló que se trataba de un asunto relacionado directamente con decisiones en materia de salud pública, circunstancia que quedaba cobijada por lo dispuesto en el literal i) del artículo 19 de la Ley 1712 de 2014 para denegar la publicación de la información.

30. De la misma manera, el juez consideró que la AND había sido clara en advertir que, si bien implementó políticas de tratamiento de datos personales en cumplimiento de los mandatos legales vigentes, la publicación del código fuente de la aplicación podría acarrear, entre otras consecuencias, que los datos sensibles de los ciudadanos resulten expuestos a eventuales riesgos.

31. Finalmente, el juez de tutela agregó que, desde el punto de vista técnico, no era claro si la publicación del código fuente generaría eventuales riesgos para la información sensible de los ciudadanos que registran allí sus datos personales. De manera que, al tratarse de aspectos meramente técnicos y especializados, según lo expuesto por la entidad accionada, era preciso actuar con la mayor cautela posible.

32. Por lo anterior, el juzgador de primera instancia concluyó que la AND no vulneró los derechos del accionante, pues contestó de fondo sus solicitudes y decidió no publicar la información requerida, bajo el amparo de las excepciones legalmente establecidas para el efecto.

4. Impugnación

33. El acc